.NET Framework下如何隐藏文件物理路径，用指定URL展示文件

当然有办法实现！核心思路是用display.aspx作为中间代理页面——它负责根据你传递的文件标识（比如数据库里的ID）获取真实文件路径，然后把文件内容直接输出到浏览器。这样用户看到的始终是display.aspx的URL，真实路径完全不会暴露。

下面是具体的实现步骤和代码修改：

1. 修改按钮点击后的跳转逻辑 #

你原来的代码是直接跳转到真实文件URL，现在改成跳转到display.aspx，并传递文件的唯一标识（比如你代码里的sid）：

private void save(int i)
{
    GridViewRow row = GridView7.Rows[i];
    string sid = row.Cells[0].Text;
    
    // 跳转到代理页面，传递文件ID而非真实URL
    Response.Redirect($"display.aspx?id={sid}", false);
}

2. 实现display.aspx的后台逻辑 #

在display.aspx的Page_Load方法里，接收传递的ID，从数据库获取真实文件路径，然后把文件内容输出到响应流：

protected void Page_Load(object sender, EventArgs e)
{
    if (!IsPostBack && Request.QueryString["id"] != null)
    {
        string sid = Request.QueryString["id"];
        string realFilePath = string.Empty;
        
        // 从数据库获取真实文件路径（复用你原有的存储过程逻辑）
        using (SqlConnection con = new SqlConnection("你的数据库连接字符串"))
        {
            using (SqlCommand cmd = new SqlCommand("xxx", con))
            {
                cmd.CommandType = System.Data.CommandType.StoredProcedure;
                cmd.Parameters.AddWithValue("@id", sid);
                
                con.Open();
                using (SqlDataReader rd = cmd.ExecuteReader())
                {
                    if (rd.HasRows && rd.Read())
                    {
                        realFilePath = rd[0].ToString();
                    }
                }
            }
        }
        
        // 验证文件有效性，防止恶意路径遍历攻击
        string serverPath = Server.MapPath(realFilePath);
        if (!string.IsNullOrEmpty(realFilePath) && File.Exists(serverPath))
        {
            // 根据文件扩展名设置正确的Content-Type，让浏览器正确识别文件
            string extension = Path.GetExtension(realFilePath).ToLower();
            Response.ContentType = GetContentType(extension);
            
            // 设置响应头：inline表示直接预览，Attachment则触发下载（按需选择）
            Response.AddHeader("Content-Disposition", $"inline; filename={Path.GetFileName(realFilePath)}");
            
            // 输出文件内容到浏览器
            Response.WriteFile(serverPath);
            Response.End();
        }
        else
        {
            // 文件不存在时的处理逻辑，比如跳转到错误页
            Response.Redirect("error.aspx");
        }
    }
}

// 辅助方法：根据扩展名匹配对应的Content-Type
private string GetContentType(string extension)
{
    return extension switch
    {
        ".jpg" or ".jpeg" => "image/jpeg",
        ".png" => "image/png",
        ".gif" => "image/gif",
        ".pdf" => "application/pdf",
        // 可根据业务需求添加更多文件类型
        _ => "application/octet-stream"
    };
}

关键注意事项 #

• 安全性优先：一定要验证真实文件路径的有效性，确保它在允许的目录范围内，防止攻击者通过构造ID来访问服务器上的敏感文件（路径遍历攻击）。
• 资源自动释放：用using语句包裹数据库连接、命令、阅读器等对象，确保资源被正确回收，避免内存泄漏。
• Content-Type适配：正确的Content-Type能让浏览器直接预览文件（比如图片、PDF），而不是强制下载，提升用户体验。

这样修改后，用户点击按钮后会跳转到https://example.com/display.aspx?id=xxx，浏览器会直接显示对应的文件，但地址栏始终是display.aspx的URL，真实的文件路径完全不会暴露给用户。

内容的提问来源于stack exchange，提问作者Nail Özkan